CN114428956A - 一种基于扩展属性的文件验证方法、装置及系统 - Google Patents

Abstract

本发明提供一种基于扩展属性的文件验证技术，该技术包括：读取待验证文件的扩展属性；定义扩展属性的数据结构；根据数据结构创建待验证文件的扩展属性节点，并在扩展属性节点中设置待验证文件的扩展属性名称和扩展属性数值；根据白名单检查待验证文件是否安全；计算待验证文件的第一验证值，并读取待验证文件的存储有安全属性的节点；比较第一验证值与存储有安全属性的节点。本发明利用扩展属性实现对文件更加灵活和高效的验证。

Description

一种基于扩展属性的文件验证方法、装置及系统

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种基于扩展属性的文件验证技术。

背景技术

随着互联网技术的发展，很多先进的计算机技术和信息技术也随之涌现。同时，新型的恶意软件也给政府、企业、个人带来了新的威胁。恶意软件可能非法篡改程序(尤其是系统文件)的代码或数据，或植入恶意代码，因而威胁到系统的安全，并可能给用户带来巨大损失。在执行程序前检查系统文件的唯一性、完整度等状态信息可以有效防止恶意软件带来的损害。

以Linux系统的启动和运行为例，Linux系统是以文件为基本操作单元。现有的Linux系统中，通过加密字符串来对系统文件进行状态描述，系统文件的验证方法主要是通过遍历存储文件基础信息的列表，以获取相应的状态数值进行比对验证。具体而言，前述系统文件均存储在固定的路径下，并具有固定的文件类型。在此情形下，系统只能对存储在特定地址的数值进行验证，并且只能对文件的特定的状态进行验证。更具体地，Linux系统默认使用IMA/EVM内核模块来进行安全验证，该内核模块的扩展属性名称是固定的且不可改变的(例如security.ima和security.evm)。

可见，上述方式使得文件验证缺乏灵活性，除系统文件外，无法对待验证的文件进行扩展，例如用户的私有数据文件、软件文件和共享数据文件等。同时，由于采用的是列表存储和读取状态信息的方式，现有的方法的验证效率较低，并且只能提供完整或不完整、唯一或不唯一的结论，不能对完整性的程度进行评价。

发明内容

本发明提供一种基于扩展属性的文件验证方法、装置及系统，以解决现有技术中验证效率低、状态描述不够灵活、不能对文件的完整性程度进行定量评价的问题。

为了实现上述目的，本发明采用的一种技术方案是：一种基于扩展属性的文件验证方法，所述方法包括：S1：读取待验证文件的扩展属性，所述扩展属性至少包括所述待验证文件的名称和时间戳信息；若读取失败，则执行步骤S2，若读取成功，则执行步骤S4；S2：定义扩展属性的数据结构，并执行步骤S3，所述数据结构至少包括扩展属性名称，以及所述扩展属性名称对应的扩展属性数值；S3：根据所述数据结构创建所述待验证文件的扩展属性节点，并在所述扩展属性节点中设置所述待验证文件的所述扩展属性名称和所述扩展属性数值，执行步骤S4；其中，所述扩展属性节点至少包括第一扩展属性节点和第二扩展属性节点，分别存储所述待验证文件的名称和时间戳；S4：根据白名单检查所述待验证文件的名称和时间戳，以判断所述待验证文件是否安全；若安全，则执行步骤S5，若不安全，则报错和/或结束流程；S5：计算所述待验证文件的第一验证值，并读取所述待验证文件的存储有安全属性的扩展属性节点，执行步骤S6；S6：比较所述第一验证值与所述存储有安全属性的扩展属性节点的数值，若相同，则判定所述待验证文件为安全；若不相同，则判定所述待验证文件为不安全，报错和/或结束流程。

在优选实施例中，在所述步骤S4中，所述根据白名单检查所述待验证文件的名称和时间戳，以判断所述待验证文件是否安全包括：S41：根据所述待验证文件的名称信息判断所述待验证文件是否在白名单中，若是，则执行步骤S42，若否，则报错和/或结束流程；S42：根据所述待验证文件的时间戳信息判断所述待验证文件是否为最新的版本，若是，则判定为安全，若否，则报错和/或结束流程。

在优选实施例中，所述步骤S4还包括：S43：若安全，则获取所述待验证文件的存储路径，并检查所述存储路径是否存在；若存在，则执行步骤S5，若不存在，则报错和/或结束流程。

在优选实施例中，在所述步骤S5中，所述计算所述待验证文件的第一验证值包括：S51：根据所述路径获取所述待验证文件的全文和/或摘要，并计算所述待验证文件全文和/或摘要的所述第一验证值；所述第一验证值为根据加密算法计算获得的数值。

在优选实施例中，所述待验证文件包括第三扩展属性节点；所述步骤S6还包括：S61：根据文件的验证结果或所述报错的类型，修改所述第三扩展属性节点的扩展属性数值。

为了实现上述目的，本发明采用的另一种技术方案是：一种基于扩展属性的文件验证装置，所述装置至少包括：数据读取模块，用于读取待验证文件的扩展属性；数据定义模块，用于定义扩展属性的数据结构；数据存储模块，用于根据所述数据结构创建所述待验证文件的扩展属性节点，并在所述扩展属性节点中设置扩展属性名称和扩展属性数值；数据验证模块，用于根据白名单检查所述待验证文件，以判断所述待验证文件是否安全，以及计算和比较待验证文件的第一验证值。

在优选实施例中，所述数据读取模块用于获取所述待验证文件的存储路径；所述数据验证模块用于根据所述待验证文件的名称信息判断所述待验证文件是否在白名单中，根据所述待验证文件的时间戳信息判断所述待验证文件是否为最新的版本，以及检查所述存储路径是否存在。

在优选实施例中，所述数据读取模块用于根据所述路径获取所述待验证文件的全文和/或摘要；所述数据验证模块用于计算所述待验证文件全文和/或摘要的所述第一验证值。

在优选实施例中，所述数据存储模块用于根据文件的验证结果或报错的类型，修改所述扩展属性节点的扩展属性数值。

为了实现上述目的，本发明采用的另一种技术方案是：一种基于扩展属性的文件验证系统，所述系统至少包括处理器，用于实现上述任一项所述的方法。

与现有技术相比，本发明的优点在于：(1)本发明利用文件的扩展属性描述文件状态，其通过新增、自定义新的扩展属性，并基于新增的扩展属性再设计对应的软件逻辑，以满足用户态程序和内核态功能的业务逻辑；(2)本发明可以直接读取待验证文件的扩展属性名称及键值信息，不存在遍历的操作，运行效率几乎不受系统文件数量的影响，效率不会随着文件数量的增加而衰减。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1：本发明一个实施例提供的一种基于扩展属性的文件验证方法的流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本发明中所使用“第一”和“第二”的表述均是为了区分两个相同名称非相同的实体或者非相同的参量，可见“第一”、“第二”仅为了表述的方便，不应理解为对本发明的限定，后续实施例对此不再一一说明。

在操作系统启动和运行时，至少需要判断系统文件的唯一性和完整性。为了提高系统的安全性，本发明在此基础上，可以进一步实现对各种类型的文件进行管理和验证，包括但不限于可执行文件、可加载文件、类库文件和文本文件等。同时，用户对文件的使用具有随机性，其可能将文件随机放在任意位置，即文件路径可能随机分布在文件系统中。

基于此，本发明实现上述技术方案的较佳实施例的思路，是通过文件的扩展属性读取或写入文件的相关信息，并以此作为验证基础。具体运用时，可以根据实际采用的技术路径进行调整，继而更加灵活地实现前述技术方案。

实施例一

如图1所示，本实施例提供了一种基于扩展属性的文件验证方法。本实施例以Linux操作系统原生的文件子系统为例，使用文件节点的扩展属性定制相关逻辑并进行安全加固。与Linux操作系统内核原有的验证机制不同的是，本实施例新增的扩展属性名称可以是任意名称，对应的键值也可以是任意的字串信息。具体包括如下步骤。

S1：读取待验证文件的扩展属性，扩展属性至少包括待验证文件的名称和时间戳信息。

具体地，本实施例首先根据文件的名称和时间戳信息判断文件的安全性，该名称和时间戳信息可以存储在待验证文件的扩展属性中。更具体地，若读取待验证文件的名称和时间戳信息失败，则执行步骤S2；若读取待验证文件的名称和时间戳信息成功，则执行步骤S4。

在可选实施例中，在文件创建时可选新增名称和时间的扩展属性节点，并存储相应的名称和时间戳信息。若未进行存储，或存储的名称或数据结构不一致，则会读取失败。此时，根据待验证文件当前的信息新增并设置相应的扩展属性节点(即下述步骤S2-S3)，以便在对该待验证文件的下一次验证中能够获取信息并进行判断。

S2：定义扩展属性的数据结构，数据结构至少包括扩展属性名称，以及扩展属性名称对应的扩展属性数值。

具体地，根据需要验证的文件内容，自定义扩展属性的名称及需要存储的数据内容，并执行步骤S3。在进行文件验证时，可以根据扩展属性名称及数值来验证文件的特定意义，包括但不限于验证文件单一性、完整性或其他不同的意义。

在可选实施例中，扩展属性是文件系统的一个功能机制，类似于链表，用户可以根据需要来增加一个新节点，自定义命名特定的名称并存储文件信息，然后将这个新增的扩展属性名称及存储的信息数据用于验证流程。例如使用security.wlist＝taged扩展属性这个数据结构来表示文件的安全状态，其中“taged”可以为任意数值。

在可选实施例中，定义扩展属性可选基于文件的Inode节点，该方式具有通用性及运行的高效性，满足了用户态和内核态的相关业务需求。

S3：根据数据结构创建待验证文件的扩展属性节点，并在扩展属性节点中设置待验证文件的扩展属性名称和扩展属性数值。

具体地，根据步骤S2定义的数据结构，在待验证文件的扩展属性中创建扩展属性节点，执行步骤S4，扩展属性节点至少包括第一扩展属性节点和第二扩展属性节点，用于分别存储待验证文件的名称和时间戳。

在可选实施例中，以Linux系统为例，可选由Setattr函数来创建待验证文件的扩展属性节点，该节点的数据结构按照预定义规则来设置，如步骤S2中定义的数据结构，不会改变或重定义。在可选实施例中，可选通过调用系统的API实现的扩展属性节点的写入功能，例如把名称字符串和数值串写入待验证文件的Inode节点对应的存储位。

S4：根据白名单检查待验证文件的名称和时间戳，以判断待验证文件是否安全；若安全，则执行步骤S5，若不安全，则报错和/或结束流程。

具体地，本发明中，白名单是指系统允许执行的文件名单。本实施例根据白名单检查待验证文件是否与白名单中的信息相符，以判断执行该文件是否安全。

在可选实施例中，检查待验证文件的步骤可以包括：S41根据待验证文件的名称信息判断待验证文件是否在白名单中，若是，则执行步骤S42，若否，则报错和/或结束流程；S42根据待验证文件的时间戳信息判断待验证文件是否为最新的版本，若是，则判定为安全，若否，则报错和/或结束流程。在可选实施例中，除前述文件名称和时间戳外，也可以通过其他的文件属性来检查，包括但不限于文件的创建者、版本号等。

在可选实施例中，还可以进一步包括步骤S43若安全，则获取待验证文件的存储路径，并检查所述存储路径是否存在；若存在，则执行步骤S5，若不存在，则报错和/或结束流程。

S5：计算待验证文件的第一验证值，并读取待验证文件的存储有安全属性的节点，执行步骤S6。

具体地，本步骤第一验证值可用于待验证文件的唯一性、完整性或其他自定义属性的验证。

在可选实施例中，以完整性为例，计算待验证文件的第一验证值包括，S51根据路径获取待验证文件的全文和/或摘要，并计算待验证文件全文和/或摘要的第一验证值；第一验证值为根据加密算法计算获得的数值。在可选实施例中，加密算法可选为多种国密算法，例如SM1、SM2、SM3和SM4等。

S6：比较第一验证值与存储有安全属性的节点，若相同，则判定待验证文件为安全；若不相同，则判定待验证文件为不安全，报错和/或结束流程。

具体地，将由步骤S5计算得到的第一验证值与待验证文件扩展属性节点中存储的对应的数值进行比较。若比较结果相同，则判定待验证文件为安全；若比较结果不相同，则判定待验证文件为不安全，报错和/或结束流程。

在可选实施例中，本步骤还包括，S61根据文件的验证结果或报错的类型，修改第三扩展属性节点的扩展属性数值。验证结果可以为安全或不安全，报错的类型可以为步骤S1至步骤S6中的任何报错。系统可以根据该扩展属性判断文件是否安全，或根据报错信息判断待验证文件的错误类型，从而进一步判断是否执行文件。

本实施例较为完整地描述了文件验证的方法，在实际应用中，可以根据需要验证的类型，例如文件名称、类型和文件的验证值等。基于此，可根据安全性的要求，选择其中部分或全部的验证值来进行文件验证，从而实现完整性程度的验证。

实施例二

现有操作系统的扩展属性名称只能是security.ima/security.evm,且存储的键值只能是现有加密函数计算出的特定的加密字串信息。基于此，本实施例基于Linux系统的原的API函数Setattr，对数据结构、数据读取、写入等业务逻辑进行说明。本发明基于此可以实现高度自定义的技术效果。

具体地，本实施例以操作系统exe原生函数的运行机制为例进行说明。在本实施例中，由于可执行文件的运行机制，当可执行文件运行时，系统将实时读取该文件Inode结构体的扩展属性名称及键值信息。

更具体地，当用户创建/bin/test.sh可执行文件时，系统调用Setattr函数或等效功能，根据预先定义好的数据结构创建该文件的扩展属性节点，例如创建名称为“security.binary”的节点，并设置security.binary的值为2。在可选实施例中，“security.binary”字串可以表示该文件为可执行类文件，数值“2”可以表示该文件的优先权重为2级且为已验证状态。

在可选实施例中，当运行上述/bin/test.sh可执行文件时，系统的相应模块将自动读取该文件的扩展属性“security.binary＝2”字串，验证后认为其符合安全要求并立即运行。验证方法可以如实施例1中所述，本实施例不再具体描述。

进一步地，可以使用Setattr原生函数创建文件的扩展属性节点“security.verify＝tag”。在可选实施例中，“security.verify”为表示新增的扩展属性节点的名称，“tag”字串表示具体的键值。在可选实施例中，当需要表示该文件路径未更改、文件内容未更改等多重信息时，tag键值可以具体设置为“tag＝2”。在可选实施例中，系统在该文件运行的时候自动读取“tag＝2”字串，即该文件的路径未更改、文件内容未更改，该文件可正常运行。具体地，可以设置：当security.verify＝1时，表示该文件路径未更改过且文件内容未更改；当security.verify＝2时，表示该文件路径更改了但文件内容未更改；当security.verify＝3时，表示该文件内容已更改。

本实施例基于操作系统exe原生函数的运行机制，实时读取对应文件inode结构体的扩展属性名称及键值信息，不存在遍历的操作，运行效率受影响度不大。因新增的扩展属性可以存贮各类数值信息，用户可自定义操作，实现对应的字串加密解密功能后，安全等级及功能可等同现有安全级别。

实施例三

本发明采用模块化的设计，以实现上述实施例一和实施例二，以及其中任一项可选实施例的方法。

具体地，本实施例包括数据读取模块，用于读取待验证文件的扩展属性；数据定义模块，用于定义扩展属性的数据结构；数据存储模块，用于根据数据结构创建待验证文件的扩展属性节点，并在扩展属性节点中设置扩展属性名称和扩展属性数值；数据验证模块，用于根据白名单检查待验证文件，以判断待验证文件是否安全，以及计算和比较待验证文件的第一验证值。

在可选实施例中，数据读取模块用于获取待验证文件的存储路径；数据验证模块用于根据待验证文件的名称信息判断待验证文件是否在白名单中，根据待验证文件的时间戳信息判断待验证文件是否为最新的版本，以及检查存储路径是否存在。

在可选实施例中，数据读取模块用于根据路径获取待验证文件的全文和/或摘要；数据验证模块用于计算待验证文件全文和/或摘要的第一验证值。在可选实施例中，数据存储模块用于根据文件的验证结果或报错的类型，修改扩展属性节点的扩展属性数值。

实施例四

本发明还包括一种基于扩展属性的文件验证系统，该系统至少包括处理器，能够实现上述实施例一和实施例二，以及其中任一项可选实施例的方法。

以上对本发明所提供的一种基于扩展属性的文件验证方法、装置及系统进行了详尽介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，对本发明的变更和改进将是可能的，而不会超出附加权利要求所规定的构思和范围，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种基于扩展属性的文件验证方法，其特征在于，所述方法包括：

S1：读取待验证文件的扩展属性，所述扩展属性至少包括所述待验证文件的名称和时间戳信息；若读取失败，则执行步骤S2，若读取成功，则执行步骤S4；

S2：定义扩展属性的数据结构，并执行步骤S3，所述数据结构至少包括扩展属性名称，以及所述扩展属性名称对应的扩展属性数值；

S3：根据所述数据结构创建所述待验证文件的扩展属性节点，并在所述扩展属性节点中设置所述待验证文件的所述扩展属性名称和所述扩展属性数值，执行步骤S4；其中，所述扩展属性节点至少包括第一扩展属性节点和第二扩展属性节点，分别存储所述待验证文件的名称和时间戳；

S4：根据白名单检查所述待验证文件的名称和时间戳，以判断所述待验证文件是否安全；若安全，则执行步骤S5，若不安全，则报错和/或结束流程；

S5：计算所述待验证文件的第一验证值，并读取所述待验证文件的存储有安全属性的扩展属性节点，执行步骤S6；

S6：比较所述第一验证值与所述存储有安全属性的扩展属性节点的数值，若相同，则判定所述待验证文件为安全；若不相同，则判定所述待验证文件为不安全，报错和/或结束流程。

2.根据权利要求1所述的方法，其特征在于，在所述步骤S4中，所述根据白名单检查所述待验证文件的名称和时间戳，以判断所述待验证文件是否安全包括：

S41：根据所述待验证文件的名称信息判断所述待验证文件是否在白名单中，若是，则执行步骤S42，若否，则报错和/或结束流程；

S42：根据所述待验证文件的时间戳信息判断所述待验证文件是否为最新的版本，若是，则判定为安全，若否，则报错和/或结束流程。

3.根据权利要求1或2所述的方法，其特征在于，所述步骤S4还包括：

S43：若安全，则获取所述待验证文件的存储路径，并检查所述存储路径是否存在；若存在，则执行步骤S5，若不存在，则报错和/或结束流程。

4.根据权利要求3所述的方法，其特征在于，在所述步骤S5中，所述计算所述待验证文件的第一验证值包括：

S51：根据所述路径获取所述待验证文件的全文和/或摘要，并计算所述待验证文件全文和/或摘要的所述第一验证值；所述第一验证值为根据加密算法计算获得的数值。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述待验证文件包括第三扩展属性节点；所述步骤S6还包括：

S61：根据文件的验证结果或所述报错的类型，修改所述第三扩展属性节点的扩展属性数值。

6.一种基于扩展属性的文件验证装置，其特征在于，所述装置至少包括：

数据读取模块，用于读取待验证文件的扩展属性；

数据定义模块，用于定义扩展属性的数据结构；

数据存储模块，用于根据所述数据结构创建所述待验证文件的扩展属性节点，并在所述扩展属性节点中设置扩展属性名称和扩展属性数值；

数据验证模块，用于根据白名单检查所述待验证文件，以判断所述待验证文件是否安全，以及计算和比较待验证文件的第一验证值。

7.根据权利要求6所述的装置，其特征在于，所述数据读取模块用于获取所述待验证文件的存储路径；所述数据验证模块用于根据所述待验证文件的名称信息判断所述待验证文件是否在白名单中，根据所述待验证文件的时间戳信息判断所述待验证文件是否为最新的版本，以及检查所述存储路径是否存在。

8.根据权利要求7所述的装置，其特征在于，所述数据读取模块用于根据所述路径获取所述待验证文件的全文和/或摘要；所述数据验证模块用于计算所述待验证文件全文和/或摘要的所述第一验证值。

9.根据权利要求6-8任一项所述的装置，其特征在于，所述数据存储模块用于根据文件的验证结果或报错的类型，修改所述扩展属性节点的扩展属性数值。

10.一种基于扩展属性的文件验证系统，其特征在于，所述系统至少包括处理器，用于实现权利要求1-5任一项所述的方法。

Images